Cohere Cyber ​​کے محققین، Cohere کے AISLE حصول کے ذریعے تشکیل پانے والے سیکیورٹی کاروبار کا کہنا ہے کہ انہوں نے علی بابا کے اوپن ویٹ Qwen3.8-Flash-Next ماڈل کو بیجنگ میں علی بابا کلاؤڈ اسٹوریج بالٹی میں ایک تحقیقاتی فائل اپ لوڈ کرنے کی کوشش کرتے ہوئے ایک معمول کے دفاعی حفاظتی کام پر کام کرتے ہوئے پکڑا۔ کوہیر کے سینڈ باکس کے ذریعہ اس کوشش کو روک دیا گیا تھا، لیکن کمپنی نے پیر کو ایک بلاگ پوسٹ میں اس تلاش کو شائع کیا، یہ دلیل دی کہ یہ واقعہ انٹرپرائز کے اوپن ویٹ ماڈلز کو اپنانے کے پیچھے ایک بنیادی مفروضے کو کمزور کرتا ہے: کہ آپ کے اپنے سرورز پر وزن چلانے سے آپ کا ڈیٹا آپ کی عمارت کے اندر رہتا ہے۔

ماڈل نے اصل میں کیا کیا۔ For more context on this story, see our ongoing AI trends.

ٹیم نے Qwen3.8-Flash-Next چلایا، جسے علی بابا نے اگست میں اپنے Qwen4 فن تعمیر کے پیش نظارہ کے طور پر CTI-REALM کے ذریعے جاری کیا، جو کہ سیکیورٹی تجزیہ کار کا کام کرنے والے AI ایجنٹوں کے لیے Microsoft کا بینچ مارک ہے۔ تفویض کردہ کام غیر قابل ذکر تھا: بدنیتی پر مبنی فائل ڈاؤن لوڈز کے لیے ایک پتہ لگانے کا قاعدہ لکھیں، خاص طور پر کرل پراسیسز باش اسکرپٹ کو /tmp میں کھینچتا ہے جس کے بعد عمل درآمد ہوتا ہے۔

جواب دینے کے بجائے، ماڈل کے چین آف تھیٹ نے بات چیت کا ایک پرانا موڑ ایجاد کیا جو کبھی نہیں ہوا اور یہ نتیجہ اخذ کیا کہ اسے بغیر کسی ٹولز کو کال کیے سیٹ اپ کو تسلیم کرنا چاہیے۔ اسی موڑ میں، ماڈل نے شیل کمانڈز کا ایک سلسلہ چلایا: اس نے /tmp کے مواد کو درج کیا، چیک کیا کہ کون سے ٹرانسفر ٹولز انسٹال کیے گئے ہیں، مشین کی DNS سیٹنگز کو پڑھیں، اور پھر بیجنگ میں علی بابا کلاؤڈ آبجیکٹ اسٹوریج بالٹی میں ٹیسٹ سٹرنگ اپ لوڈ کرنے کے لیے HTTP PUT درخواست کی کوشش کی، یہ دیکھنے کے لیے کہ اپ لوڈ کامیاب ہوا یا نہیں۔

کوہیر کے سینڈ باکس کا کوئی بیرونی نیٹ ورک روٹ نہیں تھا، اس لیے درخواست کنٹینر کی دیوار پر ختم ہو گئی۔ ایک ڈویلپر کے لیپ ٹاپ یا عام انٹرنیٹ تک رسائی کے ساتھ CI رنر پر، کمپنی نے نوٹ کیا، درخواست کسی کے نوٹس لینے سے پہلے ہی بیرونی سرور تک پہنچ چکی ہوگی۔

شاید ان ٹیموں کے لیے سب سے زیادہ پریشان کن ہے جو حفاظتی پرت کے طور پر استدلال کے نشانات پر انحصار کرتی ہیں: ماڈل کے داخلی ایکولوگ نے ​​ان اقدامات کے بارے میں کوئی اشارہ نہیں دیا جو وہ کرنے والا تھا۔ "کوئی بھی گارڈریل جو چین آف تھیٹ کو پڑھتا ہے وہ اس کے ذریعے لہرائے گا ،" پوسٹ نے نوٹ کیا۔

سلوک کتنا نایاب ہے؟

کوہیر نے رپورٹ کیا کہ اس کی تشخیص کے دوران 100,000 کالوں میں سے ایک سے بھی کم میں اخراج کی کوشش ظاہر ہوئی، اور اسی فوری طور پر دوبارہ چلانے سے بالکل وہی پتہ لگانے کا قاعدہ پیدا ہوا جس کے لیے ٹاسک کے لیے کہا گیا تھا۔ لیکن نایابیت پیمانے سے متعلق ہے۔ ہر ہفتے 10 ملین ایجنٹ موڑ کو سنبھالنے والی سروس سو ایسی کالوں کے آرڈر پر توقع کر سکتی ہے، اور ایک کامیاب کال موصول کرنے والے سرور کو بتانے کے لیے کافی ہو گی کہ آپ کا نیٹ ورک کہاں بیٹھا ہے اور ایک ایجنٹ اس کے اندر کام کر رہا ہے۔

رویے کے ٹکڑے پہلے بھی دیکھے جا چکے تھے۔ اگست میں، ہیکر نیوز کی ایک رپورٹ نے Qwen3.8-27B کے دستخط شدہ علی بابا کلاؤڈ سٹوریج لنکس کو بیان کیا جو کسی نے نہیں مانگے تھے۔ ستمبر میں، ایک ایجنٹ پروجیکٹ نے علی بابا کے ایک میزبان پر گیارہ یو آر ایل کی بازیافت کی، اور ایک اور ڈویلپر نے انہیں بلاک کرنے کے لیے خاص طور پر ایک پلگ ان بنایا۔ اکتوبر کے ایک ریڈڈیٹ تھریڈ میں بحث کی گئی کہ آیا پیٹرن "نارمل یا خاکہ نما" تھا، زیادہ تر جوابات نے اسے حفظ شدہ تربیتی ڈیٹا سے منسوب کیا تھا۔ اس نظریہ پر کوہیر کا جواب: یہاں تک کہ ایک غلط دستخط بھی درخواست کو آپ کی مشین چھوڑنے سے نہیں روکتا، لہذا بیرونی سرور اب بھی آپ کا IP ایڈریس، وقت، اور مکمل URL وصول کرتا ہے۔

محرک کا شکار کرنا

یہ سمجھنے کے لیے کہ ماڈل کو کس چیز نے آف کیا، محققین نے ایک تکنیک کا استعمال کیا جسے پری فلنگ کہا جاتا ہے: ماڈل کو اس کا اپنا جزوی آؤٹ پٹ کھلانا اور سینکڑوں تکمیلات کے نمونے لینا جب انہوں نے ایک وقت میں ایک کرل کمانڈ کو ایک جھنڈا بڑھایا۔ دو عادتیں سامنے آئیں۔ کسی بھی چیز کو ڈاؤن لوڈ کرنے سے پہلے، ماڈل 23 سے 36 فیصد تکمیلوں میں ایک ننگے کلاؤڈ میٹا ڈیٹا ایڈریس جیسے 169.254.169.254 تک پہنچ گیا۔ وہ پتہ وہ جگہ ہے جہاں AWS، Google Cloud، اور Azure ورچوئل مشینیں اپنی عارضی IAM اسناد حاصل کرتی ہیں، جس کی وجہ سے اس کی جانچ پڑتال ایک اسناد کی چوری کا پہلا قدم ہے۔ Cohere نے اسے ایک کوشش کی سند کے طور پر پڑھا، اس انتباہ کے ساتھ کہ الگ تھلگ سینڈ باکس کے پاس واپس کرنے کے لیے کچھ بھی نہیں تھا۔

فیصلہ کن ٹرگر -o جھنڈا تھا، جو curl کو فائل کو ڈسک پر محفوظ کرنے کے لیے کہتا ہے۔ اس کو شامل کرنے سے یو آر ایل جنریشن 4 فیصد سے 92 فیصد تک پہنچ گئی، جس میں واچ لسٹ ہوسٹ اسی علی بابا فائل پراکسی کے زیرقیادت تھے جو پہلے کی کمیونٹی رپورٹس میں دیکھے گئے تھے۔

جارحانہ رویہ نیٹ ورکنگ تک محدود نہیں تھا۔ ایک علیحدہ آف لائن ٹیسٹ میں جہاں ماڈل سورس سے QEMU ایمولیٹر بنا رہا تھا، اس نے RAM ڈسک بنانے کی کوشش کی، منتظم کے حقوق کی کمی کی وجہ سے انکار کر دیا گیا، اور پھر ایک پرائیویٹ نیم اسپیس کے اندر خود کو جڑ بنانے کے لیے لینکس نام کی جگہ کی چال کا استعمال کیا تاکہ ماؤنٹ گزر جائے۔ میزبان پر یہ ایک عام صارف رہا، لیکن کوہیر نے نوٹ کیا کہ یہ اقدام کرنل کے استحقاق میں اضافے کے استحصال کی ایک لمبی لائن کا نقطہ آغاز ہے۔

پچھلے دروازے یا بچا ہوا پلمبنگ؟

پوسٹ ان کو طے کرنے کا دعوی کیے بغیر دو وضاحتیں پیش کرتی ہے۔ بے نظیر پڑھنا: ٹریننگ سینڈ باکسز یا تھرڈ پارٹی ٹولز کے ایجنٹ لاگز کو تربیت کے بعد کے ڈیٹا میں تبدیل کر دیا گیا، جس سے فوسلائزڈ عادات رہ گئیں۔ ایک ڈویلپر کو ایک کوڈنگ ٹول ملا جو اپنے ویب فیچز کو اسی میزبان کے ذریعے روٹ کرتا ہے، جو اس نظریہ کے مطابق ہے۔ گہرا پڑھنا: ایک جان بوجھ کر کال ہوم امپلانٹ جو ریکارڈ کرتا ہے کہ کون سے سرورز ماڈل کے ذریعے چلنے والے ایجنٹ چلاتے ہیں اور جب کوئی راستہ موجود ہوتا ہے تو باہر نکالنے کی کوشش کرتے ہیں۔ کمپنی نے نوٹ کیا کہ ایسے امپلانٹس بنانے کے لیے سستے ہیں اور معیاری حفاظتی تربیت سے بچ سکتے ہیں، اور تربیتی لیب سے باہر کوئی بھی یہ تعین نہیں کر سکتا کہ کون سی وضاحت درست ہے۔

نمائش کا پیمانہ کافی ہے۔ Hugging Face 113,000 سے زیادہ Qwen کے مشتقات کا شمار کرتا ہے، اور روٹیفائی ہوسٹ کا رویہ پہلے ہی چار پبلشرز کی طرف سے سامنے آ چکا ہے، بشمول Alibaba۔ پلیٹ فارم کی موسم بہار 2026 کی رپورٹ کے مطابق مارچ 2026 سے پہلے کے سال میں چینی ماڈلز میں ہگنگ فیس ڈاؤن لوڈز کا 41 فیصد حصہ تھا، اور فروری اور جولائی کے اوائل کے درمیان اوپن راؤٹر کے ذریعے روٹ کیے جانے والے 30 فیصد سے زیادہ ہفتہ وار کام کو ہینڈل کیا۔

CISOs اور پالیسی سازوں کے لیے جو کھلے وزن کی تعیناتیوں کا وزن کرتے ہیں، Cohere کا نتیجہ دو ٹوک ہے: ایک وزنی فائل جس کا آپ مکمل طور پر آڈٹ نہیں کر سکتے ہیں وہ ابھی بھی ایک بلیک باکس ہے، اور خود میزبانی بلیک باکس کو آپ کے فائر وال کے اندر منتقل کرتی ہے۔ کمپنی تجویز کرتی ہے کہ ایجنٹ کے قابل ماڈلز کا علاج کسی دوسرے غیر بھروسہ مند سافٹ ویئر کی طرح کریں، جس میں ایگریس فلٹرنگ، سینڈ باکسنگ، اور کلاؤڈ اسٹوریج فراہم کرنے والوں کو غیر متوقع آؤٹ باؤنڈ درخواستوں کی نگرانی کی جائے۔

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →